Das PHP-Projekt hat am 21.10.2026 Sicherheitsupdates für mehrere Versionszweige veröffentlicht. Sie schließen kritische Lücken, über die sich aus der Ferne Programmcode auf einem Server ausführen lässt. PHP ist die Programmiersprache, auf der WordPress und viele Vereinswebseiten laufen. Die Bundaris-Plattform ist nicht in PHP geschrieben und von dieser Lücke nicht betroffen. Betroffen sein kann die WordPress-Seite Ihrer Organisation, wenn deren Hosting noch eine ältere PHP-Version nutzt.
Was betroffen ist und was nicht
- Bundaris-Plattform: nicht betroffen.
- Öffentliche Seite Ihrer Organisation auf bundaris.de: Nutzen Sie sie, ist Ihre Webseite von PHP nicht betroffen.
- WordPress-Plugin „Bundaris Bridge“: Das Plugin ist in PHP geschrieben und läuft auf dem Hosting Ihrer Webseite, nicht bei uns. Welche PHP-Version dort gilt, bestimmt Ihr Hosting-Anbieter. Das Plugin selbst enthält die Lücke nicht, es wird aber von ihr betroffen, wenn der Server darunter nicht aktualisiert ist.
- Ihre Webseite insgesamt: Die Lücke liegt in PHP, nicht in einem einzelnen Plugin. Sie betrifft also auch WordPress, das Theme und jedes andere Plugin auf derselben Seite.
Was Sie jetzt prüfen sollten
- Im Kundenbereich Ihres Hosting-Anbieters nachsehen, welche PHP-Version für Ihre Webseite eingestellt ist.
- Prüfen, ob dort die korrigierte Fassung Ihres Versionszweigs läuft: 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 (oder neuer). Viele Anbieter spielen sie nach einigen Tagen automatisch ein; manche Pakete erfordern einen Klick.
- Läuft die Seite auf PHP 8.1 oder älter, gibt es für diese Zweige keine reguläre Korrektur. Dann hilft nur der Wechsel auf einen unterstützten Zweig. Bei älterem Code kann dabei etwas brechen; testen Sie vorher oder lassen Sie sich von Ihrer Webagentur beraten.
- Nach einem Wechsel die Seite kurz durchklicken, besonders Mitgliederbereich und Formulare.
Wenn Sie unsicher sind, schreiben Sie uns an info@bundaris.de. Nennen Sie die Adresse Ihrer Webseite, wir sagen Ihnen, wo die Einstellung bei Ihrem Anbieter zu finden ist.
Wie das Plugin grundsätzlich abgesichert ist
- Eingaben und Ausgaben: Was Besucher eintippen, wird mit den WordPress-Standardfunktionen bereinigt, bevor es verarbeitet wird, und beim Anzeigen maskiert. Das Plugin nimmt keine Datei-Uploads an und führt keine Eingaben als Programmcode aus.
- Aktionen im Mitgliederbereich: Anmelden, Profiländerung, Kündigung und ähnliche Aktionen sind mit einem Einmal-Prüfwert (Nonce) gesichert. Fremde Seiten können sie nicht im Namen angemeldeter Mitglieder auslösen.
- Anmeldung: Das Passwort geht von Ihrem Webserver an die Bundaris-Schnittstelle, nicht aus dem Browser. Die Sitzungs-Cookies sind für Skripte auf der Seite nicht lesbar und werden nur über HTTPS übertragen.
- Einstellungen: Das Plugin lässt sich nur mit Administratorrechten konfigurieren.
- Datenbank: Alle Abfragen des Plugins an die WordPress-Datenbank sind parametrisiert.
- Auslieferung: Jede Änderung am Plugin durchläuft vor der Veröffentlichung eine automatische Syntaxprüfung und ein Code-Review, bevor sie als Update bereitgestellt wird. Kleine Korrekturen installiert das Plugin auf Wunsch selbst; die Einstellung dafür finden Administratoren in den Einstellungen des Plugins. Größere Versionssprünge bleiben ein bewusster Klick.
Weiterer Ausbau
Wir aktualisieren diese Seite, wenn es neue Erkenntnisse gibt. Fragen zur Sicherheit beantworten wir unter info@bundaris.de. Eine Übersicht unserer allgemeinen Maßnahmen finden Sie unter Sicherheit & Datenschutz.